In questo articolo Indice dei contenuti 2 sezioni
n suono che nessuno può sentire è diventato il modo con cui AliExpress riesce a riconoscere i dispositivi di chi visita le sue pagine. Non c’è microfono, non c’è registrazione, non c’è nulla di ciò che i più diffidenti avevano immaginato. C’è invece un segnale audio a volume zero che il browser genera da solo e che ogni computer, ogni telefono, ogni tablet elabora in maniera leggermente diversa. Da quella differenza minima nasce un’impronta digitale stabile, capace di distinguere un apparecchio da tutti gli altri.
La scoperta risale a luglio, quando uno sviluppatore si è accorto di un comportamento anomalo delle sue cuffie Bluetooth. Non riuscivano a passare da un dispositivo all’altro, e il problema si presentava solo con una scheda di AliExpress aperta nel browser. Andando a guardare il codice della pagina, sono venuti fuori due script con nomi poco evocativi, collina.js e fireyejs.js. Entrambi sfruttano l’API WebAudio, quella che i siti usano normalmente per riprodurre suoni, per creare un segnale inaudibile. Il browser lo elabora comunque, anche quando la scheda risulta silenziata, e il canale audio resta attivo in secondo piano senza che l’utente se ne accorga.
Come funziona il fingerprinting audio
Il meccanismo è più semplice di quanto sembri. L’hardware audio e il processore di ciascun apparecchio restituiscono quel segnale con variazioni impercettibili, dovute alle caratteristiche fisiche dei componenti. Sono proprio quelle micro differenze a comporre l’identificativo. La parte interessante, dal punto di vista tecnico, è che non viene salvato nulla sul dispositivo: nessun cookie, nessun file, niente che si possa cancellare svuotando la cache. Il fingerprinting audio lavora su ciò che il dispositivo è, non su ciò che contiene.
Il browser Brave ha confermato la faccenda e ha ricordato di bloccare questo tipo di firma audio già da oltre sei anni. Anche Firefox riesce a fermare la tecnica grazie alle sue protezioni anti tracciamento. Nel messaggio pubblicato il 22 agosto 2026, il team di Brave ha spiegato che Alibaba, attraverso AliExpress, non stava registrando gli utenti ma semplicemente riproducendo un suono silenzioso per misurare come i singoli dispositivi lo processavano.
Il quadro però è più ampio dell’audio. I due script raccolgono una quantità considerevole di altri segnali: dati di rendering grafico ottenuti tramite Canvas e WebGL, la configurazione hardware, informazioni WebRTC, i movimenti del mouse e i gesti delle dita sullo schermo. A questi si aggiungono la memoria hardware disponibile, le dimensioni dello schermo e alcune informazioni di rete, tutte utili ad affinare l’identificativo univoco. Entrambi gli script risultano volutamente offuscati, cioè scritti in modo da rendere il codice illeggibile a chi non ha competenze specifiche.
Nessuna risposta da Alibaba e la svolta di Google
Vale la pena ricordare che l’anno scorso diversi utenti di Reddit avevano sospettato che AliExpress “ascoltasse” le loro conversazioni, senza mai riuscire a dimostrarlo. La spiegazione, a quanto pare, era di natura diversa e nemmeno lontanamente legata al microfono. Né AliExpress né la casa madre Alibaba hanno rilasciato dichiarazioni su questi script.
Sul fronte normativo, il contesto è cambiato in fretta. Google per anni ha vietato il fingerprinting sulle proprie piattaforme pubblicitarie, sostenendo che fosse contrario alla libertà di scelta degli utenti. A febbraio 2025 la posizione si è ribaltata e gli inserzionisti hanno ricevuto il via libera a usare questa tecnica per il targeting. Secondo l’azienda, il cambio di rotta serve a cogliere le opportunità del panorama digitale attuale, in particolare su piattaforme emergenti come le smart TV.
Di parere opposto l’Information Commissioner’s Office, l’autorità britannica per la protezione dei dati personali, secondo cui la privacy ne esce indebolita: il fingerprinting riduce la possibilità di scelta e il controllo sulle proprie informazioni, colpendo anche chi adotta comportamenti attenti e consapevoli online.
